أصدرت منصة دروبال تحديثات أمنية عاجلة لمعالجة ثغرة أمنية وُصفت بأنها “بالغة الخطورة” في نواة النظام، يمكن استغلالها لتنفيذ أوامر عن بُعد (RCE)، أو تصعيد الامتيازات، أو كشف المعلومات الحساسة. الثغرة التي تحمل الرمز CVE-2026-9082 حصلت على تقييم CVSS 6.5/10 وفق قاعدة بيانات CVE.org، ما يجعلها من أبرز التهديدات التي تستهدف المواقع المعتمدة على قاعدة بيانات PostgreSQL.
تفاصيل الثغرة ومخاطرها
توجد الثغرة في واجهة API الخاصة بتجريد قواعد البيانات داخل نواة دروبال، وهي المسؤولة عن التحقق من الاستعلامات وضمان حمايتها من هجمات حقن SQL. لكن الخلل يسمح للمهاجمين بإرسال طلبات مصممة خصيصاً تؤدي إلى تنفيذ استعلامات ضارة، ما يفتح الباب أمام:
- كشف معلومات حساسة من قاعدة البيانات.
- تصعيد الامتيازات للوصول إلى صلاحيات أعلى.
- تنفيذ أوامر عن بُعد على الخادم المستهدف.
الأخطر أن هذه الثغرة يمكن استغلالها من قبل مستخدمين مجهولين (Anonymous Users)، أي أنها لا تتطلب تسجيل دخول مسبق، مما يضاعف من خطورتها على المواقع العامة.
الإصدارات المتأثرة والتحديثات المتاحة
أوضحت دروبال أن الثغرة تؤثر فقط على المواقع التي تستخدم PostgreSQL، بينما تبقى المواقع المعتمدة على قواعد بيانات أخرى خارج دائرة الخطر. وقد تم إصدار تحديثات أمنية للإصدارات التالية:
- Drupal 11.3.10
- Drupal 11.2.12
- Drupal 11.1.10
- Drupal 10.6.9
- Drupal 10.5.10
- Drupal 10.4.10
أما Drupal 7 فغير متأثر بهذه الثغرة. كما أصدرت المنصة ترقيعات يدوية لإصدارات Drupal 9.5 وDrupal 8.9 رغم وصولها إلى نهاية دورة حياتها (End-of-Life)، وذلك كجهد استثنائي نظراً لخطورة الثغرة.
أهمية التحديثات الأمنية
إلى جانب معالجة الثغرة الأساسية، تضمنت التحديثات الأمنية إصلاحات إضافية من مكتبات Symfony وTwig، ما يجعل الترقية إلى الإصدارات الأخيرة أمراً ضرورياً لتأمين المواقع بشكل شامل.
لكن دروبال شددت على أن الإصدارات غير المدعومة مثل Drupal 11.0.x وDrupal 10.4.x وما دونها لن تحصل على تغطية أمنية رسمية، وبالتالي فإن استمرار استخدامها يعرض المواقع لمخاطر متعددة، بما في ذلك ثغرات سابقة لم يتم إصلاحها.
توصيات للمؤسسات والمطورين
- الترقية الفورية إلى الإصدارات المدعومة المذكورة أعلاه.
- مراجعة إعدادات قواعد البيانات والتأكد من عدم وجود صلاحيات مفرطة للمستخدمين.
- تطبيق سياسات أمان إضافية مثل مراقبة الاستعلامات غير المعتادة وتفعيل أنظمة كشف التسلل.
- بالنسبة للمؤسسات التي لا تزال تعتمد على إصدارات قديمة، يُنصح بالانتقال إلى الإصدارات الحديثة لتجنب تراكم الثغرات غير المعالجة.
هذه الثغرة تؤكد مجدداً أن أنظمة إدارة المحتوى مفتوحة المصدر مثل دروبال، رغم قوتها وانتشارها، تبقى عرضة لهجمات متقدمة تستغل أي خلل في البنية الأساسية، ما يجعل التحديث المستمر والالتزام بأفضل الممارسات الأمنية ضرورة لا خياراً.
